VPN en Tor vervang nie HTTPS nie: waar elke laag eindig

'n VPN en 'n Tor-kring versleutel albei jou verkeer vir 'n deel van sy reis. Albei hou op om dit te versleutel by 'n eweknie van hul eie keuse. HTTPS is die laag wat die webwerf self bereik, en geen hoeveelheid tonneling daarvoor verander 'n gewone vormindiening in 'n beskermde een nie. Om elke laag te volg tot by die punt waar dit eindig, maak dit duidelik.

Drie lae, drie verskillende eindpunte

'n Konvensionele VPN beëindig sy tonnel by die VPN-bediener. Alles tussen jou toestel en daardie bediener is binne die tonnel, en alles daarna is nie. 'n Tor-kring werk op dieselfde manier met 'n ander eweknie en verlaat die netwerk by 'n uitgangsaflosser wat jou versoek na die bestemming aanstuur.

TLS eindig by die webwerf. Die sertifikaat wat jy bekragtig het, bind 'n gasheernaam aan 'n sleutel wat die webwerf beheer, en die sessiesleutels bestaan tussen jou blaaier en daardie bediener. Daardie eindpunt lê verby beide die VPN-bediener en die Tor-uitgang.

Die drie lae het dus drie verskillende vertrouensgrense, en 'n versoek gaan in volgorde deur al drie. Om een te versterk sê niks oor die ander nie, en die laaste een is die enigste waaraan die bestemming deelneem.

Wat die laaste sprong blootlê

As die toepassing gewone HTTP gebruik, is die inhoud anderkant die uitgang leesbaar vir elkeen wat daardie sprong bedryf. Die vroeëre tonnel het sy werk perfek gedoen en is bloot nie meer daar nie. Bewyse wat in 'n HTTP-vorm ingetik word, word presies op die punt blootgelê waar die beskerming geëindig het.

Met korrek bekragtigde HTTPS kan 'n tussenganger op die pad die toepassingsinhoud nie lees of stilweg verander nie. Dit sien steeds dat jy gekonnekteer het, wanneer, en na watter adres, want die pakketopskrifte moet roetebaar wees. Vertroulikheid van inhoud en metadata oor die verbinding is verskillende eienskappe, en net die eerste is wat TLS bied.

Rekeningidentiteit is weer 'n derde ding. Aanmelding by 'n rekening identifiseer jou aan daardie diens ongeag watter uitgangsadres jy gebruik het, so die uitgang beskerm die netwerkpad eerder as die rekening. Daardie onderskeid oorleef enige aantal lae daarvoor. Om uitgange te verander verander nooit wat 'n aangemelde sessie onthul nie. Die diens het geweet wie jy is voordat die eerste pakket vertrek het.

Niks in hierdie reëling word gebreek deur 'n tweede tonnel by te voeg nie. Wat verander, is watter waarnemer die eerste sprong sien, nie of die laaste sprong versleutel is nie.

Volgorde verander die waarnemers, nie die eindpunt nie

Om 'n VPN en Tor te koppel is 'n wettige manier om te verander wie wat op netwerkvlak sien. Om Tor oor 'n VPN te laat loop, verberg die feit dat jy Tor gebruik vir jou toegangsnetwerk, terwyl 'n VPN oor Tor jou adres vir die VPN-verskaffer verberg. Albei ordenings word in openbare dokumentasie beskryf en albei het kompromieë in werkverrigting en foutgedrag.

Nie een van die ordenings skuif die TLS-eindpunt nie. In albei gevalle bekragtig die blaaier steeds 'n sertifikaat vir die gasheernaam wat dit versoek het, en in albei gevalle stuur 'n HTTP-adres steeds sy inhoud onbeskermd anderkant die laaste aansitter. Die samestelling verander die waarnemerlys; dit verander nie die laagtelling by die bestemming nie.

Daarom gaan advies oor koppeling gewoonlik oor dreigingsmodelle eerder as oor veiligheid in die algemeen. 'n Langer ketting is nie 'n sterker weergawe van dieselfde ding nie, en dit is nie 'n plaasvervanger vir die protokol wat die toepassing gekies het nie.

curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -brief

Albei opdragte wys die laag wat by die bestemming saak maak. Die tweede druk die onderhandelde protokol sonder om enige tonnel te betrek. Nie een sê vir jou iets oor die uitgang wat jy gebruik het nie.

Hou bekragtiging werkend terwyl jy foute opspoor

'n Sertifikaatwaarskuwing is inligting oor die verbinding wat jy op die punt staan om te maak. Dit kan 'n gasheernaam-mismatch, 'n klokprobleem, 'n onbetroubare ketting of 'n onderskeppingspoging beteken. Om 'n permanente uitsondering by te voeg omdat 'n VPN gekonnekteer is, verwyder die enigste sein wat daardie gevalle sou onderskei het.

Tor Browser se veilige-verbinding-kenmerke en sy waarskuwings bestaan om dieselfde rede, en om dit af te skakel sodat 'n bladsy laai, ruil 'n sigbare mislukking vir 'n onsigbare een. As 'n webwerf nie sonder 'n uitsondering bereik kan word nie, is die eerlike gevolgtrekking dat die verbinding nie verifieerbaar is nie, nie dat die tonnel dit veilig gemaak het nie.

Versleuteling sê ook niks oor opset nie. 'n Geldige HTTPS-verbinding na 'n misleidende webwerf lewer jou data met volmaakte vertroulikheid by daardie webwerf af. Kyk na die adres en wat jy indien, nie net of die slotjie teenwoordig is nie.

Onion-dienste is 'n werklik ander model. Hulle word deur die Tor-netwerk bereik sonder 'n gewone openbare uitgang, wat nie dieselfde is as om 'n openbare webwerf deur Tor te besoek nie. Behandel dit as 'n afsonderlike geval met sy eie verwagtinge eerder as as 'n sterker weergawe van dieselfde besoek.

Die reël wat elke opset oorleef, is kort. Hou die blaaierbekragtiging ongeskonde. Beoordeel elke laag volgens waar dit werklik eindig.